Ron Teixeira
Per pastaruosius dvejus metus įvyko nemažai aukšto lygio duomenų pažeidimo bylų, susijusių su didelėmis korporacijomis. Nors tai gali reikšti, kad įsilaužėliai ir vagys nukreipia tik dideles korporacijas, realybė yra ta, kad įsilaužėliai vis labiau orientuojasi į mažąsias įmones, nes paprastai neturi didelių korporacijų išteklių ar žinių.
Tačiau tai nereiškia, kad mažos įmonės turi išleisti daug pinigų ir išteklių, kad apsisaugotų nuo naujausių grėsmių. Iš tiesų, remiantis naujausia „Symantec“ grėsmės ataskaita, 82% prarastų ar pavogtų duomenų galėjo būti išvengta, jei įmonė vykdytų paprastą kibernetinio saugumo planą.
Norint pradėti kurti kibernetinio saugumo planą, turite suprasti interneto grėsmes ir kaip apsaugoti savo verslą nuo šių grėsmių tiesiogiai veikia jūsų apatinę liniją. Todėl Nacionalinis kibernetinio saugumo aljansas, kurio partneriai yra Vidaus saugumo departamentas, Federalinis tyrimų biuras, Smulkiojo verslo administracija, Nacionalinis standartų ir technologijų institutas, „Symantec“, „Microsoft“, CA, „McAfee“, „AOL“ ir „RSA“, sukūrė viršų 5 grėsmės, kurias jūsų mažoji įmonė gali patirti internete, verslo atvejai, kaip šios grėsmės jums gali pakenkti, ir praktinės priemonės, kurių galite imtis, kad išvengtumėte šių grėsmių.
Čia pateikiamos penkių didžiausių grėsmių santraukos:
- # 1: Kenkėjiškas kodas. Šiaurės rytų gamybos įmonės programinės įrangos bomba sunaikino visas įmonės programas ir kodų generatorius. Vėliau bendrovė prarado milijonus dolerių, buvo išstumta iš savo pozicijos pramonėje ir galiausiai turėjo atleisti 80 darbuotojų. Jei norite įsitikinti, kad tai neįvyksta, įdiegite ir naudokite antivirusines programas, antivirusines programas ir užkardas visuose jūsų įmonės kompiuteriuose. Be to, įsitikinkite, kad visa kompiuterių programinė įranga yra naujausia ir jame yra naujausių pataisų (t. Y. Operacinė sistema, antivirusinė, anti-spyware, anti-adware, ugniasienės ir biuro automatikos programinė įranga).
- # 2: pavogtas / pamestas nešiojamas arba mobilusis įrenginys. Praėjusiais metais jo namuose buvo pavogtas Veteranų reikalų departamento darbuotojo nešiojamas kompiuteris. Jame buvo 26,5 mln. Veteranų. Galų gale, nešiojamas kompiuteris buvo atkurtas ir duomenys nebuvo naudojami; Vis dėlto VA turėjo pranešti apie 26,5 mln. Kad įsitikintumėte, jog tai jums nereikės, apsaugokite savo klientų duomenis, kai jie gabenami bet kurioje nešiojamojo įrenginio vietoje, šifruodami visus jame esančius duomenis. Šifravimo programos koduoja duomenis arba neleidžia jas skaityti pašaliniams asmenims, kol įvesite slaptažodį ar šifravimo raktą.
- # 3: Spear Phishing. Vidutinio dydžio dviračių gamintojas labai rėmėsi el. Per įprastą darbo dieną bendrovė gavo net 50 000 šlamšto ir sukčiavimo elektroninių laiškų. Vienu atveju darbuotojas gavo „spear phishing“ el. Laišką, kuris atrodė iš IT skyriaus, ir paprašė darbuotojo patvirtinti „administratoriaus slaptažodį“. Laimei įmonei, kai darbuotojas paprašė linijos vadovo „“ administratoriaus slaptažodis “, jis toliau tyrinėjo ir suprato, kad el. Jei norite įsitikinti, kad tai neįvyko, nurodykite visiems darbuotojams susisiekti su savo vadovu arba tiesiog pasiimti telefoną ir susisiekti su asmeniu, kuris tiesiogiai išsiuntė el. Laišką. Svarbu, kad jūsų darbuotojai būtų informuoti apie tai, kas yra spear phishing ataka, ir atkreipkite dėmesį į tai, kas jų lauke yra įtartina.
- # 4: Neapsaugoti bevielio interneto tinklai. Pasak naujienų pranešimų, įsilaužėliai per bevielį tinklą ištraukė „didžiausią duomenų saugumo pažeidimą“. Pasaulinis mažmeninės prekybos tinklas turėjo daugiau nei 47 milijonus klientų finansinės informacijos, kurią pavogė įsilaužėliai, kurie krekingo per bevielį tinklą, kuris buvo užtikrintas mažiausia bendrovės turima šifravimo forma. Šiuo metu šis saugumo pažeidimas kainavo 17 milijonų JAV dolerių, ypač 12 milijonų dolerių viename ketvirtyje, arba 3 centus už akciją. Jei norite įsitikinti, kad tai neįvyko, nustatydami belaidį tinklą, įsitikinkite, kad numatytasis slaptažodis yra pakeistas ir įsitikinkite, kad užšifravote belaidį tinklą su „WPA“ („Wi-Fi Protected Access“).
- # 5: Insider / Disgruntled Employee Threat. Buvęs darbuotojas, vykdantis didelių automobilių kompanijų skrydžio operacijas, du savaites po to, kai atsistatydino iš pareigų, ištrino kritinę užimtumo informaciją. Įvykis sukėlė apie 34 000 dolerių nuostolių. Kad įsitikintumėte, jog tai neįvyksta, suskirstykite kritines funkcijas ir atsakomybę tarp organizacijos darbuotojų, apribodami galimybę, kad vienas asmuo galėtų atlikti sabotažą ar sukčiavimą be kitų organizacijos darbuotojų pagalbos.
Skaitykite toliau, jei norite gauti daugiau informacijos ir išsamių patarimų, kaip apsaugoti savo kompiuterines sistemas -
1. Kenkėjiškas kodas (šnipinėjimo programos / virusai / Trojos arklys / kirminai)
Pagal 2006 m. FBI kompiuterinių nusikaltimų tyrimą, kenksmingos programinės įrangos programos sudarė didžiausią pranešimų apie kibernetines atakas skaičių, dėl kurių vidutiniškai buvo prarasta 69 125 USD už incidentą. Kenkėjiška programinė įranga yra kompiuterio programos, kurios slaptai įdiegtos jūsų kompiuteryje ir gali sukelti vidinę žalą kompiuterių tinklui, pvz., Ištrinti svarbius failus, arba gali būti panaudotos pavogti slaptažodžius arba atrakinti saugos programinę įrangą, kad įsilaužėlis galėtų pavogti kliento ar darbuotojo informaciją. Dažniausiai nusikaltėliai naudojasi šiomis programomis, kad gautų finansinę naudą, prievartą ar vagystę.
Atvejo analizė:
Šiaurės rytų gamybos įmonė sudarė sutartis, kurių vertė siekė kelis milijonus dolerių. Tačiau vieną rytą darbuotojai negalėjo įsiregistruoti operacinėje sistemoje, o gauti pranešimą, kad sistema „buvo remontuojama“. Netrukus po to kompanijos serveris sudužo, pašalindamas visas gamyklos įrankių ir gamybos programas. Kai vadybininkas nuvyko sugrįžti į juostą, jis nustatė, kad jie buvo ištremti, o atskiros darbo vietos taip pat buvo ištrintos. Bendrovės finansų direktorius patvirtino, kad programinės įrangos bomba sunaikino visas programas ir kodų generatorius, leidžiančius įmonei pritaikyti savo produktus ir taip sumažinti išlaidas. Vėliau bendrovė prarado milijonus dolerių, buvo išstumta iš savo pozicijos pramonėje ir galiausiai turėjo atleisti 80 darbuotojų. Bendrovė gali pasigirti tuo, kad kaltas asmuo galiausiai buvo suimtas ir nuteistas.
Patarimai:
- Įdiekite ir naudokite antivirusines programas, antivirusines programas ir užkardas visuose jūsų įmonės kompiuteriuose.
- Įsitikinkite, kad kompiuteriai yra apsaugoti užkarda; ugniasienės gali būti atskiri prietaisai, įmontuoti belaidžio ryšio sistemose, arba programinės įrangos užkarda, kurioje yra daug komercinių saugumo rinkinių.
- Be to, įsitikinkite, kad visa kompiuterių programinė įranga yra naujausia ir jame yra naujausių pataisų (t. Y. Operacinė sistema, antivirusinė, anti-spyware, anti-adware, ugniasienės ir biuro automatikos programinė įranga).
2. Pavogtas / prarastas nešiojamas arba mobilusis įrenginys
Patikėkite ar ne, pavogti arba prarasti nešiojamieji kompiuteriai yra vienas iš labiausiai paplitusių būdų, kuriais įmonės praranda kritinius duomenis. Pagal 2006 m. FBI nusikaltimų tyrimą (PDF), pavogtas arba prarastas nešiojamas kompiuteris paprastai nulėmė vidutinį 30 570 JAV dolerių nuostolį.Tačiau aukšto lygio incidentas arba incidentas, dėl kurio įmonė turi susisiekti su visais savo klientais, nes jų finansiniai ar asmens duomenys gali būti prarasti arba pavogti, gali sukelti daug didesnius nuostolius dėl vartotojų pasitikėjimo praradimo, sugadintos reputacijos ir netgi teisinė atsakomybė.
Atvejo analizė:
Pernai Veterans Affair departamento darbuotojas paėmė nešiojamąjį kompiuterį, kuriame buvo 26,5 mln. Veteranų. Nors darbuotojas nebuvo namuose, įsilaužėlis įsibrovė ir pavogė nešiojamąjį kompiuterį su veteranų duomenimis. Galų gale, nešiojamas kompiuteris buvo atkurtas ir duomenys nebuvo naudojami; Vis dėlto VA turėjo pranešti apie 26,5 mln. Šis reiškinys neapsiriboja vyriausybe, 2006 m. Buvo keletas aukšto lygio įmonių bylų, susijusių su prarastais ar pavogtais nešiojamais kompiuteriais, dėl kurių buvo pažeisti duomenys. Iš automobilio buvo pavogtas nešiojamas kompiuteris, kuriame yra 250 000 klientų. Providence sveikatos priežiūros ligoninės sistemoje buvo pavogtas nešiojamas kompiuteris, kuriame buvo tūkstančiai pacientų medicininių įrašų.
Patarimai:
- Apsaugokite savo klientų duomenis transportuodami ją bet kurioje nešiojamojo įrenginio vietoje, šifruodami visus jame esančius duomenis. Šifravimo programos koduoja duomenis arba neleidžia jas skaityti pašaliniams asmenims, kol įvesite slaptažodį ar šifravimo raktą. Jei pavogtas ar prarastas nešiojamas kompiuteris su jautriais duomenimis, tačiau duomenys yra užšifruoti, labai mažai tikėtina, kad kiekvienas galės skaityti duomenis. Šifravimas yra jūsų paskutinė gynybos linija, jei duomenys yra prarasti ar pavogti. Kai kurios šifravimo programos yra integruotos į populiarias finansines ir duomenų bazių programas. Tiesiog patikrinkite savo programinės įrangos savininko vadovą, kad sužinotumėte, ar ši funkcija yra prieinama ir kaip ją įjungti. Kai kuriais atvejais gali prireikti papildomos programos, kad tinkamai užšifruotumėte slaptus duomenis.
3. Spear Phishing
Spear phishing apibūdina bet kokį labai tikslinį sukčiavimą. Spear phishers siunčia el. Laiškus, kurie atrodo tikri visiems darbuotojams ar nariams tam tikroje įmonėje, vyriausybinėje įstaigoje, organizacijoje ar grupėje. Pranešimas gali atrodyti iš darbdavio arba kolega, galinčio išsiųsti el. Laišką visiems bendrovės darbuotojams, pavyzdžiui, žmogiškųjų išteklių vadovui arba asmeniui, kuris valdo kompiuterines sistemas, ir galėtų įtraukti prašymus vartotojo vardus ar slaptažodžius.
Tiesa ta, kad elektroninio pašto siuntėjo informacija buvo suklastota arba „sugadinta“. Kadangi tradiciniai sukčiavimo sukčiavimo sukčiavimo įrankiai yra skirti pavogti informaciją iš atskirų asmenų, šnipinėjimo sukčiavimo sukčiai sukelia prieigą prie visos kompiuterinės sistemos.
Jei darbuotojas atsako su vartotojo vardu arba slaptažodžiu, arba spustelėję nuorodas arba atidarę priedus spear phishing el. Laiške, iššokančiame lange arba svetainėje, jie gali pakenkti jūsų verslui ar organizacijai.
Atvejo analizė:
Vidutinio dydžio dviračių gamintojas, kuris gamino dviračius, kurie buvo naudojami gerai žinomose lenktynėse, rėmėsi el. Per įprastą darbo dieną bendrovė gavo net 50 000 šlamšto ir sukčiavimo elektroninių laiškų. Todėl bendrovė įdiegė daugybę šlamšto filtrų, siekdama apsaugoti darbuotojus nuo apgaulingų laiškų. Tačiau daugelis apgaulingų laiškų vis dar perduodami darbuotojams. Vienu atveju darbuotojas gavo „spear phishing“ el. Laišką, kuris atrodė iš IT skyriaus, ir paprašė darbuotojo patvirtinti „administratoriaus slaptažodį“. Laimei įmonei, kai darbuotojas paprašė linijos vadovo „“ administratoriaus slaptažodis “, jis toliau tyrinėjo ir suprato, kad el. Nors šis pavyzdys nesukėlė finansinių nuostolių, jis gali būti lengvai pasiekiamas ir yra bendra problema visoms įmonėms.
Patarimai:
- Darbuotojai niekada neturėtų atsakyti į šlamštą ar iškylančius pranešimus, teigiančius, kad jie yra įmonės ar organizacijos, su kuriais galite susidurti, pavyzdžiui, su interneto paslaugų teikėju (ISP), banku, internetine mokėjimo paslauga ar net vyriausybės agentūra. Teisėtos įmonės neprašys jautrios informacijos elektroniniu paštu arba nuoroda.
- Be to, jei darbuotojas gauna el. Laišką, kuris atrodo kitam darbuotojui, ir prašo slaptažodžio ar bet kokios rūšies paskyros informacijos, jie neturėtų atsakyti į jį arba pateikti slaptą informaciją el. Paštu. Vietoj to, nurodykite darbuotojui susisiekti su savo vadovu arba tiesiog pasiimti telefoną ir susisiekti su asmeniu, kuris tiesiogiai išsiuntė el. Laišką.
- Svarbu, kad jūsų darbuotojai būtų informuoti apie tai, kas yra spear phishing ataka, ir atkreipkite dėmesį į tai, kas jų lauke yra įtartina. Geriausias būdas išvengti tapimo aukų sukčiavimo išpuolio auka yra leisti visiems žinoti, kad tai vyksta, kol kas nors nepraras asmeninės informacijos.
4. Neapsaugoti bevielio interneto tinklai
Vartotojai ir įmonės greitai priima ir diegia bevielius interneto tinklus. Pagal „InfoTech“ tyrimą, bevielio interneto tinklų skvarba iki 2008 m. Pasieks 80%. Nors belaidžio interneto tinklai suteikia įmonėms galimybę racionalizuoti savo tinklus ir sukurti tinklą, kuriame yra labai mažai infrastruktūros ar laidų, yra saugumo rizikos, kurią įmonės turi spręsti naudojant belaidžius interneto tinklus. Piratai ir sukčiai gali patekti į įmonių kompiuterius per atvirą belaidį interneto tinklą, todėl galbūt gali pavogti informaciją apie klientą ir netgi nuosavybės teise priklausančią informaciją. Deja, daugelis įmonių nesiima reikiamų priemonių savo belaidžiams tinklams apsaugoti. Pagal 2005 m. „Symantec / Small Business Technology Institute“ tyrimą, 60% mažų įmonių turi atvirus belaidžius tinklus. Be to, daugelis kitų mažų įmonių negali naudoti pakankamai stipraus belaidžio saugumo, kad apsaugotų savo sistemas. Netinkamas belaidžio tinklo užtikrinimas yra tarsi paliekamas atviras verslo duris naktį.
Atvejo analizė:
Pasak naujienų pranešimų, įsilaužėliai per bevielį tinklą ištraukė „didžiausią duomenų saugumo pažeidimą“. Pasaulinis mažmeninės prekybos tinklas turėjo daugiau nei 47 milijonus klientų finansinės informacijos, kurią pavogė įsilaužėliai, kurie krekingo per bevielį tinklą, kuris buvo užtikrintas mažiausia bendrovės turima šifravimo forma. 2005 m. Du įsilaužėliai tariamai pastatė ne parduotuvėje ir naudojo bevielio antenos antenos teleskopą, kad būtų galima iššifruoti duomenis iš rankinių mokėjimo skenerių, kad jie galėtų įsilaužti į patronuojančios bendrovės duomenų bazę ir atsiskaityti su beveik 47 milijonų klientų kredito ir debeto kortelių įrašais. Manoma, kad įsilaužėliai turėjo prieigą prie kredito kortelės duomenų bazės daugiau nei dvejus metus, tačiau jų nebuvo aptikta. Užuot naudojusi naujausią šifravimo programinę įrangą, kad užtikrintų belaidį tinklą - „Wi-Fi Protected Access“ (WPA), mažmeninės prekybos tinklas naudojo seną šifravimo formą, vadinamą „Wireless Equivalent Privacy“ (WEP), kuris, kaip teigia kai kurie ekspertai, gali būti lengvai nulaužė per 60 sekundžių. Šiuo metu šis saugumo pažeidimas kainavo 17 milijonų JAV dolerių, ypač 12 milijonų dolerių viename ketvirtyje, arba 3 centus už akciją.
Patarimai:
- Nustatydami belaidį tinklą įsitikinkite, kad pasikeičia numatytasis slaptažodis. Daugelis tinklo įrenginių, įskaitant belaidžius prieigos taškus, yra iš anksto sukonfigūruoti su numatytais administratoriaus slaptažodžiais, kad būtų supaprastinta sąranka. Šie numatytieji slaptažodžiai lengvai rasti internete, todėl jie nesuteikia jokios apsaugos. Pakeitus numatytuosius slaptažodžius, atakuotojams sunkiau valdyti įrenginį.
- Be to, įsitikinkite, kad užšifravote belaidį tinklą su WPA šifravimu. WEP (Wired Equivalent Privacy) ir WPA („Wi-Fi Protected Access“) abu šifruoja informaciją belaidžiuose įrenginiuose. Tačiau WEP turi daug saugumo problemų, dėl kurių jis yra mažiau veiksmingas nei WPA, todėl turėtumėte ieškoti įrankių, kurie palaiko šifravimą per WPA. Duomenų šifravimas užkirstų kelią visiems, kurie gali stebėti jūsų tinklo bevielį srautą, peržiūrėti jūsų duomenis.
5. „Insider“ / „nepatenkintas“ darbuotojų grėsmė
Neapgalvotas darbuotojas ar viešai neatskleistas asmuo gali būti pavojingesnis nei sudėtingiausias internetinis įsilaužėlis. Priklausomai nuo jūsų įmonės saugumo politikos ir slaptažodžių valdymo, viešai neatskleista informacija gali turėti tiesioginę prieigą prie jūsų kritinių duomenų, todėl galite lengvai jį pavogti ir parduoti savo konkurentui, arba netgi ištrinti visą ją ir sukelti nepataisomą žalą. Yra veiksmų ir priemonių, kurių galite imtis, kad vidinis ar nepatenkintas darbuotojas nepatektų į pagrindinę informaciją ir kenktų jūsų kompiuterių tinklams.
Atvejo analizė:
Buvęs darbuotojas, vykdantis didelių automobilių kompanijų skrydžio operacijas, du savaites po to, kai atsistatydino iš pareigų, ištrino kritinę užimtumo informaciją. Įvykis sukėlė apie 34 000 dolerių nuostolių. Pasak ataskaitų, darbuotojas buvo nusiminęs dėl to, kad bendrovė išleido ją anksčiau nei tikėjosi. Įtariama, kad kompanijos ugniasienė buvo pažeista ir kaltininkas įsilaužė į darbuotojų duomenų bazę ir ištrino visus įrašus. Bendrovės pareiškimai rodo, kad nepatenkintas buvęs darbuotojas buvo vienas iš trijų žmonių, kurie žinojo apie ugniasienės, saugančios darbuotojų duomenų bazę, prisijungimo ir slaptažodžio informaciją.
Patarimai:
Yra keletas būdų, kaip jūsų įmonė gali apsisaugoti nuo vidinių ar nepatenkintų darbuotojų grėsmių:
- Organizacijos darbuotojams paskirstykite kritines funkcijas ir atsakomybę, apribodami galimybę, kad vienas asmuo galėtų atlikti sabotažą ar sukčiavimą be kitų organizacijos darbuotojų pagalbos.
- Įgyvendinti griežtą slaptažodžių ir autentifikavimo politiką. Įsitikinkite, kad kiekvienas darbuotojas naudoja slaptažodžius su raidėmis ir skaičiais ir nenaudokite vardų ar žodžių.
- Be to, būtinai pakeiskite slaptažodžius kas 90 dienų, o svarbiausia, ištrinkite darbuotojo paskyrą arba pakeiskite slaptažodžius į kritines sistemas, kai darbuotojas išeina iš įmonės. Tai apsunkina nepatenkintus darbuotojus sugadinti jūsų sistemas po to, kai jie paliko.
- Atlikite išsamų patikrinimą prieš samdant ką nors. Atlikite foninius patikrinimus, mokomuosius patikrinimus ir tt, kad užtikrintumėte gerų žmonių samdymą.
Apie autorių: Kaip Nacionalinio kibernetinio saugumo aljanso (NCSA) vykdomasis direktorius, Ron Teixeira yra atsakingas už bendrą informuotumo apie kibernetinį saugumą programų ir nacionalinių švietimo pastangų valdymą. Teixeira glaudžiai bendradarbiauja su įvairiomis vyriausybinėmis agentūromis, korporacijomis ir ne pelnu, kad padidintų informuotumą apie interneto saugumo klausimus ir įgalintų namų vartotojams, mažoms įmonėms ir švietimo bendruomenei naudotis priemonėmis ir geriausia praktika, kuria siekiama užtikrinti saugią ir prasmingą interneto patirtį.
9 Pastabos ▼
